YONG-001-009 24.02.2009 1/62
KAMU SM
SERTİFİKA İLKELERİ VE
SERTİFİKA UYGULAMA ESASLARI ( SSL VE S/MIME SERTİFİKASI İÇİNDİR)
Doküman Kodu Yayın Numarası Yayın Tarihi
YONG-001-009 02 24.02.2009
YONG-001-007 24.02.2009 2/62
Yayın No Yayın Nedeni Yayın Tarihi
01 İlk yayın 05.12.2007
02
RSA 1024-bit sertifikalar ile ilgili düzenleme yapıldı.
Minumum anahtar uzunluğu RSA 2048-bit olarak düzenlendi.
24.02.2009 DEĞİŞİKLİK KAYITLARI
YONG-001-007 24.02.2009 3/62
İÇİNDEKİLER
1. Giriş ... 10
1.1. Genel Bakış... 10
1.2. Doküman Adı ve Tanımı... 10
1.3. Sistem Bileşenleri... 11
1.3.1. Elektronik Sertifika Hizmet Sağlayıcısı ... 11
1.3.2. Kayıt Birimleri ... 11
1.3.3. Sertifika Sahipleri... 11
1.3.4. Üçüncü Kişiler... 11
1.3.5. Diğer Bileşenler ... 11
1.4. Sertifika Kullanımı ... 11
1.4.1. Uygun Olan Sertifika Kullanımı... 11
1.4.2. Sertifika Kullanımının Sınırları ... 11
1.5. İlke ve Uygulama Esaslarının Yönetimi... 11
1.5.1. Doküman Yönetimi ... 11
1.5.2. İletişim Bilgileri... 11
1.5.3. Sertifika Uygulama Esaslarının İlkelere Uygunluğunu Belirleyen Kişi . 12 1.5.4. Sertifika Uygulama Esasları Onay Prosedürleri... 12
1.6. Tanımlar ve Kısaltmalar ... 12
1.6.1. Tanımlar ... 12
1.6.2. Kısaltmalar... 13
2. Yayımlama ve Bilgi Deposu... 15
2.1. Bilgi Depoları ... 15
2.2. Sertifika Hizmeti ile İlgili Bilgilerin Yayımlanması ... 15
2.3. Yayın Sıklığı ve Zamanı ... 15
2.4. Erişim Kontrolleri ... 15
3. Kimlik Belirleme ve Doğrulama... 17
3.1. İsimlendirme ... 17
3.1.1. İsim Alanı Tipleri ... 17
3.1.2. Kimlik Bilgilerinin Teşhise Elverişli Olması ... 17
3.1.3. Sertifika Sahibinin Takma İsim veya Lakap Kullanması ... 17
3.1.4. Farklı İsim Alanı Tiplerinin Yorumlanması ... 17
3.1.5. Kimlik Bilgilerinin Tekilliği... 17
3.1.6. Markanın Tanınması, Doğrulanması ve Rolü ... 17
3.2. İlk Kimlik Belirleme ... 17
3.2.1. İmza Oluşturma Verisine Sahip Olmanın Kanıtlanması... 17
3.2.2. Kurumsal Kimliğin Belirlenmesi ... 18
3.2.3. Kişisel Kimliğin Belirlenmesi ... 18
3.2.4. Doğrulanmayan Sertifika Sahibi Bilgileri... 18
3.2.5. Yetkinin Doğrulanması ... 18
YONG-001-007 24.02.2009 4/62
3.2.6. Uyum Kriterleri... 18
3.3. Sertifika Yenileme İsteğinde Kimlik Doğrulama... 18
3.3.1. Olağan Sertifika Yenileme İsteğinde Kimlik Doğrulama ... 18
3.3.2. İptal Sonrası Sertifika Güncelleme İsteğinde Kimlik Doğrulama... 18
3.4. Sertifika İptal İsteğinde Kimlik Doğrulama... 19
4. İşlemsel Gerekler... 20
4.1. Sertifika Başvurusu ... 20
4.1.1. Sertifika Başvurusunu Kimlerin Yapabildiği ... 20
4.1.2. Kayıt İşlemleri ve Sorumluluklar ... 20
4.2. Sertifika Başvurusunun İşlenmesi ... 21
4.2.1. Kimlik Tanımlama ve Doğrulama İşlevlerinin Yerine Getirilmesi ... 21
4.2.2. Sertifika Başvurusunun Kabul veya Reddi ... 21
4.2.3. Sertifika Başvurusunun İşlenme Zamanı... 21
4.3. Sertifikanın Oluşturulması ... 21
4.3.1. Sertifika Oluşturulmasında ESHS’nin İşlevleri... 21
4.3.2. Sertifika Oluşturulması ile İlgili Sertifika Sahibinin Bilgilendirilmesi ... 21
4.4. Sertifikanın Kabül Edilmesi... 22
4.4.1. Sertifikanın Kullanıma Açılma Biçimi ... 22
4.4.2. Sertifikanın ESHS Tarafından Yayımlanması... 22
4.4.3. Sertifikanın Oluşturulmasının Diğer Bileşenlere Duyurulması ... 22
4.5. Sertifikanın ve İmza Oluşturma Verisinin Kullanımı ... 22
4.5.1. Sertifika Sahibinin Sertifika ve İmza Oluşturma Verisini Kullanımı ... 22
4.5.2. Üçüncü Kişilerin Sertifika ve İmza Doğrulama Verisini Kullanımı ... 22
4.6. Sertifikanın Yeniden Üretilmesi ... 23
4.7. Sertifikanın Yenilenmesi... 23
4.8. Sertifikanın Güncellenmesi... 23
4.9. Sertifikanın İptali ve Askıya Alınması ... 23
4.9.1. Sertifikanın İptal Edildiği Durumlar ... 23
4.9.2. Sertifika İptal Başvurusunu Kimlerin Yapabildiği ... 24
4.9.3. Sertifika İptal Başvurusunun İşlenmesi... 24
4.9.4. İptal İsteği Ertelenme Süresi... 24
4.9.5. İptal İsteğinin İşlenme Süresi... 25
4.9.6. Üçüncü Kişilerin Sertifika İptal Durumunu Kontrol Gerekliliği ... 25
4.9.7. Sertifika İptal Listesi Yayımlama Sıklığı... 25
4.9.8. Sertifika İptal Listesi Yayımlama Gecikme Süresi ... 25
4.9.9. Çevrim İçi Sertifika İptal Durum Kaydı Desteği... 25
4.9.10. Çevrim İçi Sertifika İptal Durum Kaydı Gereksinimi ... 25
4.9.11. Diğer Sertifika Durum Bildirim Yöntemleri ... 26
4.9.12. İmza oluşturma Verisinin Güvenliğini Yitirmesi Durumu ... 26
4.9.13. Sertifikanın Askıya Alındığı Durumlar... 26
4.9.14. Sertifika Askıya Alma Başvurusunu Kimlerin Yapabildiği ... 26
4.9.15. Sertifika Askıya Alma Başvurusunun İşlenmesi... 26
YONG-001-007 24.02.2009 5/62
4.9.16. Askıda Kalma Süresi ... 26
4.10. Sertifika Durum Servisleri... 26
4.10.1. İşletimsel Özellikleri ... 26
4.10.2. Servisin Erişilebilirliği ... 27
4.10.3. İsteğe Bağlı Özellikler... 27
4.11. Sertifika Sahipliğinin Sona Ermesi ... 27
4.12. Anahtar Yeniden Üretme... 27
5. Yönetim, İşlemsel ve Fiziksel Kontroller ... 28
5.1. Fiziksel Güvenlik Denetimleri ... 28
5.1.1. Tesis Yeri ve İnşaatı ... 28
5.1.2. Fiziksel Erişim... 28
5.1.3. Güç Kaynağı ve Havalandırma... 28
5.1.4. Su Baskınları ... 29
5.1.5. Yangın Önleme ve Korunma ... 29
5.1.6. Saklama ve Yedekleme Ortamlarının Korunması... 29
5.1.7. Atıkların Yok Edilmesi... 29
5.1.8. Farklı Mekanlarda Yedekleme... 29
5.2. Prosedürsel Kontroller... 29
5.2.1. Güvenilir Roller ... 29
5.2.2. Her İşlem İçin Gereken Kişi Sayısı ... 30
5.2.3. Kimlik Doğrulama ve Yetkilendirme... 30
5.2.4. Görevlerin Ayrılmasını Gerektiren Roller... 30
5.3. Personel Güvenlik Kontrolleri ... 31
5.3.1. Kişisel Geçmiş, Deneyim ve Nitelik Gerekleri... 31
5.3.2. Geçmiş Araştırması ... 31
5.3.3. Eğitim Gerekleri ... 31
5.3.4. Sürekli Eğitim Gerekleri ve Sıklığı ... 31
5.3.5. Görev Değişim Sıklığı ve Sırası... 31
5.3.6. Yetkisiz Eylemlerin Cezalandırılması ... 31
5.3.7. Anlaşmalı Personel Gereksinimleri... 31
5.3.8. Sağlanan Dokümantasyon ... 31
5.4. Denetim Kayıtları... 31
5.4.1. Kaydedilen İşlemler ... 32
5.4.2. Kayıtların İncelenme Sıklığı... 32
5.4.3. Kayıtların Saklanma Süresi ... 33
5.4.4. Kayıtların Korunması ... 33
5.4.5. Kayıtların Yedeklenmesi... 33
5.4.6. Kayıtların Toplanması... 33
5.4.7. Kayda Sebebiyet Veren Tarafın Bilgilendirilmesi... 33
5.4.8. Saldırıya Açıklığın Değerlendirilmesi... 33
5.5. Kayıt Arşivleme ... 34
5.5.1. Arşivlenen Kayıt Bilgileri ... 34
YONG-001-007 24.02.2009 6/62
5.5.2. Arşivlerin Tutulma Süresi... 34
5.5.3. Arşivlerin Korunması ... 34
5.5.4. Arşivlerin Yedeklenmesi ... 34
5.5.5. Kayıtların Zaman Damgası Gereksinimleri... 34
5.5.6. Arşivlerin Toplanması ... 34
5.5.7. Arşiv Bilgilerinin Elde Edilme ve Doğrulanma Metodu... 34
5.6. Anahtar Değişimi ... 35
5.7. Güvenliğin Yitirilmesi ve Arıza Durumlarında Yapılacaklar ... 35
5.7.1. Güvenilirliğin Yitirilmesi Durumunun Düzeltilmesi... 35
5.7.2. Donanım, Yazılım veya Veri Bozulması ... 35
5.7.3. İmza Oluşturma Verisinin Gizliliğinin Kaybedilmesi... 35
5.7.4. Arıza Sonrası Yeniden Çalışırlık... 36
5.8. Sertifika Hizmetlerinin Sonlandırılması... 36
6. Teknik Güvenlik Kontrolleri... 37
6.1. Anahtar Çifti Üretimi ve Kurulumu ... 37
6.1.1. Anahtar Çifti Üretimi ... 37
6.1.2. Sertifika Sahibine İmza Oluşturma Verisinin Ulaştırılması... 37
6.1.3. Elektronik Sertifika Hizmet Sağlayıcısı’na İmza Doğrulama Verisinin Ulaştırılması... 38
6.1.4. Elektronik Sertifika Hizmet Sağlayıcısı Sertifikalarına Erişim Sağlanması 38 6.1.5. Anahtar Uzunlukları ... 38
6.1.6. Anahtar Üretim Parametreleri ve Kalitesinin Kontrolü ... 38
6.1.7. Anahtar Kullanım Amaçları... 39
6.2. İmza Oluşturma Verisinin Korunması... 39
6.2.1. Kriptografik Modül Standartları ... 39
6.2.2. İmza Oluşturma Verisine Birden Fazla Kişi Kontrolünde Erişim ... 39
6.2.3. İmza Oluşturma Verisinin Yeniden Elde Edilmesi... 39
6.2.4. İmza Oluşturma Verisinin Yedeklenmesi... 39
6.2.5. İmza Oluşturma Verisinin Arşivlenmesi ... 40
6.2.6. İmza Oluşturma Verisinin Kriptografik Modüle Yüklenmesi ... 40
6.2.7. İmza Oluşturma Verisinin Kriptografik Modülde Saklanması... 40
6.2.8. İmza Oluşturma Verisine Erişim ... 40
6.2.9. İmza Oluşturma Verisine Erişimin Kesilmesi ... 40
6.2.10. İmza Oluşturma Verisinin Yok Edilmesi... 41
6.2.11. Kriptografik Modülün Değerlendirilmesi... 41
6.3. Anahtar Çifti Yönetimiyle İlgili Diğer Konular... 41
6.3.1. İmza Doğrulama Verisinin Arşivlenmesi ... 41
6.3.2. İmza Oluşturma ve Doğrulama Verilerinin Kullanım Süreleri... 41
6.4. Erişim Denetim Verileri... 41
6.4.1. Erişim Denetim Verilerinin Oluşturulması ... 42
6.4.2. Erişim Denetim Verilerinin Korunması ... 42
YONG-001-007 24.02.2009 7/62
6.4.3. Erişim Denetim Verileri İle İlgili Diğer Konular ... 42
6.5. Bilgisayar Güvenliği Denetimleri... 42
6.5.1. Bilgisayar Güvenliği İle İlgili Teknik Gerekler... 42
6.5.2. Bilgisayar Sisteminin Sağladığı Güvenlik Seviyesi... 42
6.6. Yaşam Döngüsü Teknik Denetimleri ... 42
6.6.1. Sistem Geliştirme Denetimleri ... 42
6.6.2. Güvenlik Yönetimi Denetimleri ... 43
6.6.3. Yaşam Döngüsü Güvenlik Denetimleri... 43
6.7. Ağ Güvenliği Denetimleri... 43
6.8. Zaman Damgası... 43
7. Sertifika ve Sertifika İptal Listesi Biçimleri ... 44
7.1. Sertifika Biçimi... 44
7.1.1. Sürüm Numarası ... 44
7.1.2. Sertifika Uzantıları ... 44
7.1.3. Algoritma ve Nesne Tanımlayıcılar... 44
7.1.4. İsim Alanı Biçimleri ... 44
7.1.5. İsim Kısıtları... 44
7.1.6. Sertifika İlkeleri Nesne Tanımlama Numarası ... 44
7.1.7. İlke Kısıtları Uzantısının Kullanımı... 44
7.1.8. İlke Niteleyiciler... 44
7.1.9. Kritik Belirtilmiş Olan İlke Belirleyici Uzantılarının İşlenmesi ... 45
7.2. Sertifika İptal Listesi Biçimi... 45
7.2.1. Sürüm Numarası ... 45
7.2.2. Sertifika İptal Listesi Uzantıları ... 45
7.3. Çevrim İçi Sertifika Durum Protokolü Biçimi... 45
7.3.1. Sürüm Numarası ... 45
7.3.2. ÇİSDUP Uzantıları... 45
8. Uygunluk Denetimleri... 47
8.1. Uygunluk Denetiminin Sıklığı ... 47
8.2. Denetçinin Nitelikleri... 47
8.3. Denetçinin Denetlenen Tarafla Olan İlişkisi... 47
8.4. Denetimin Kapsamı ... 47
8.5. Yetersizliğin Tespiti Durumunda Yapılacaklar... 47
8.6. Sonucun Bildirilmesi ... 48
9. Diğer İşler ve Hukuksal Meseleler... 48
9.1. Ücretlendirme ... 48
9.1.1. Sertifika Oluşturma ve Yenileme Ücreti... 48
9.1.2. Sertifika Erişim Ücreti ... 48
9.1.3. İptal Durum Kaydına Erişim Ücreti ... 48
9.1.4. Diğer Servis Ücretleri... 48
YONG-001-007 24.02.2009 8/62
9.1.5. İade Ücreti ... 48
9.2. Finansal Sorumluluk... 48
9.2.1. Sigorta Kapsamı ... 48
9.2.2. Diğer Varlıklar... 48
9.2.3. Sertifika Mali Sorumluluk Sigortası... 48
9.3. Ticari Bilginin Korunması... 48
9.3.1. Gizli Bilginin Kapsamı... 48
9.3.2. Gizlilik Kapsamında Olmayan Bilgiler... 48
9.3.3. Gizli Bilginin Korunma Sorumluluğu ... 48
9.4. Kişisel Bilginin Gizliliği ... 48
9.4.1. Gizlilik Planı ... 48
9.4.2. Özel Olarak Tanımlanan Bilgiler... 48
9.4.3. Özel Olarak Tanımlanmayan Bilgiler ... 48
9.4.4. Gizli Bilginin Korunma Sorumluluğu ... 48
9.4.5. Gizli Bilginin Kullanımına İzin Verilmesi... 48
9.4.6. Yetkili Merciilerin Kararına Uygun Olarak Bilginin Açıklanması... 48
9.4.7. Diğer Başlıklar ... 48
9.5. Telif Hakları ... 48
9.6. Temsil Hakkı ve Yükümlülükler ... 48
9.6.1. Elektronik Sertifika Hizmet Sağlayıcısı Yükümlülükleri... 48
9.6.2. Kayıt Birimi Yükümlülükleri ... 48
9.6.3. Sertifika Sahibinin Yükümlülükleri ... 48
9.6.4. Üçüncü Kişilerin Yükümlülükleri ... 48
9.6.5. Diğer Bileşenlerin Yükümlülükleri ... 48
9.7. Yükümlülüklerden Feragat ... 48
9.8. Sorumlulukla İlgili Sınırlamalar ... 48
9.9. Tazminat Halleri ... 48
9.10. Anlaşma Süresi ve Anlaşmanın Sona Ermesi... 48
9.10.1. Anlaşma Süresi ... 48
9.10.2. Anlaşmanın Sona Ermesi ... 48
9.10.3. Anlaşmanın Sona Ermesinin Etkileri ... 48
9.11. Sistem Bileşenleri İle Haberleşme ve Kişisel Bilgilendirme... 48
9.12. Değişiklik Halleri ... 48
9.12.1. Değişiklik Metodları ... 48
9.12.2. Bilgilendirme Mekanizması ve Sıklığı ... 48
9.12.3. Nesne Tanımlama Numarasının Değişmesini Gerektiren Durumlar.. 48
9.13. Anlaşmazlık Halleri... 48
9.14. Uygulanacak Hukuk ... 48
9.15. Uygulanabilir Yasalarla Uyum ... 48
9.16. Diğer Hükümler ... 48
EK-A Sertifika Biçimleri... 48
YONG-001-007 24.02.2009 9/62
a) TÜBİTAK UEKAE Kök Sertifika Hizmet Sağlayıcısı – Sürüm 3 ... 48
b) Kamu Elektronik Sertifika Hizmet Sağlayıcısı – Sürüm 3... 48
c) Cihaz Sertifikası Hizmet Sağlayıcısı – Sürüm 3... 48
d) SSL Sertifikası... 48
e) S/MIME Sertifikası... 48
YONG-001-007 24.02.2009 10/62 1. Giriş
Bu doküman, Türkiye Bilimsel ve Teknolojik Araştırma Kurumu’na (TÜBİTAK) bağlı Ulusal Elektronik ve Kriptoloji Araştırma Enstitüsü (UEKAE) Müdürlüğü tarafından oluşturulan Kamu Sertifikasyon Merkezi’nin (Kamu SM) SSL ve S/MIME sertifikası hizmeti verirken uyguladığı esasları tanımlayan Sertifika İlkeleri ve Sertifika Uygulama Esasları (Sİ/SUE) dokümanıdır.
Kamu SM, 15 Ocak 2004 tarih ve 5070 sayılı Elektronik İmza Kanunu, Telekomünikasyon Kurumu’nun yayımladığı Elektronik İmza Kanunu’nun Uygulanmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik, Elektronik İmza ile İlgili Süreçlere ve Teknik Kriterlere İlişkin Tebliğ’de tanımlandığı şekliyle Elektronik Sertifika Hizmet Sağlayıcısı (ESHS) işlevlerini yerine getirir.
Kamu SM’den SSL ve S/MIME sertifikası talebinde bulunanlar bu dokümanda belirtilen esaslar çerçevesinde sertifikayı kullanmayı kabul etmiş sayılır. Bu kapsamda oluşturulan sertifikalar 5070 sayılı Elektronik İmza Kanunu’nda sözü geçen nitelikli elektronik sertifika kapsamında değerlendirilmezler.
1.1. Genel Bakış
Sİ/SUE dokümanı, Kamu SM içinde yer alan sistem bileşenlerinin rollerini, sorumluluklarını ve ilişkilerini tanımlar; sertifika yönetim ve kayıt işlemlerinin gerçekleştirilme şeklini anlatır. Sertifika yönetimi, sertifika sahipleri için anahtar çifti ve sertifika üretmek, sertifikaları yayımlamak, yenilemek, güncellemek, iptal etmek, sertifika iptal bilgisini yayımlamak, sertifika işlemleri ile ilgili kişileri başvuru ve sertifikanın durumu hakkında bilgilendirmek, gerekli kayıtları tutmak ve kayıt işlemlerini gerçekleştirmek gibi işlerden oluşur. Kayıt işlemleri sertifika verilecek kişi yada kurumların başvurularını, kimlik bilgileri ve ilgili resmi belgeleri toplama, doğrulama, onaylama, iptal, yenileme ve güncelleme isteklerini alma, değerlendirme, onaylanan sertifika başvuru ve iptal istekleri doğrultusunda gerekli işlemleri başlatmayı içerir.
Sİ/SUE dokümanı, “Internet Açık Anahtar Altyapısı Sertifika İlkeleri ve Sertifika Uygulama Esasları Çerçeve Planı” [IETF - Internet X.509 Public Key Infrastructure Certificate Policy and Certification Practices Framework (RFC 3647)] referans alınarak hazırlanmış olup, doküman içeriğinde belirtilen bir kısım alt başlıkların altındaki
“düzenlenmesine gerek duyulmamıştır” ibaresi, bu aşamada ihtiyaç duyulmadığından düzenleme yapılmadığını ifade etmektedir.
1.2. Doküman Adı ve Tanımı
Doküman Adı: Kamu SM
Sertifika İlkeleri ve Sertifika Uygulama Esasları (SSL ve S/MIME Sertifikası içindir) Doküman Sürüm Numarası: 02
Yayın Tarihi: 24.02.2009
Nesne Tanımlama Numarası: 2.16.792.1.2.1.1.5.7.1.2
YONG-001-007 24.02.2009 11/62 1.3. Sistem Bileşenleri
1.3.1. Elektronik Sertifika Hizmet Sağlayıcısı
Kamu SM, Elektronik Sertifika Hizmet Sağlayıcısı olarak SSL ve S/MIME sertifikası hizmeti vermektedir. Bu amaçla aşağıdaki hizmetleri yerine getirir.
• Sertifikaların üretilmesi, imzalanması ve ilgili kişi yada kurumlara ulaştırılması
• Sertifikaların iptal edilmesi
• Sertifika durum bilgilerinin Sertifika İptal Listesi (SİL) şeklinde veya diğer yöntemlerle yayınlanması
1.3.2. Kayıt Birimleri
Düzenlenmesine gerek duyulmamıştır.
1.3.3. Sertifika Sahipleri
Kamu SM tarafından kendileri için sertifika oluşturulan ve sertifikalarını Kamu SM sertifika ilke ve uygulama esaslarına uygun olarak kullanmakla yükümlü olan gerçek yada tüzel kişilerdir.
1.3.4. Üçüncü Kişiler
Kamu SM tarafından oluşturulan sertifikaların içindeki kimlik bilgileri ve imza doğrulama verisi arasındaki bağın doğruluğuna güvenerek sertifikaları kabul eden ve işlem yapan kişilerdir. Üçüncü kişiler sertifikaları kullanmadan önce gerekli gördüğü geçerlilik kontrollerini yapar.
1.3.5. Diğer Bileşenler
Düzenlenmesine gerek duyulmamıştır.
1.4. Sertifika Kullanımı
1.4.1. Uygun Olan Sertifika Kullanımı
SSL sertifikaları sunucu ve istemci sistemler arasında kimlik doğrulama faaliyetinin gerçekleştirilmesi ve iletişimin şifreli olarak sağlanması amacıyla kullanılırlar.
S/MIME sertifikaları e-posta mesajlarının imzalanması ve şifrelenmesi amacıyla kullanılırlar.
1.4.2. Sertifika Kullanımının Sınırları
Kamu SM tarafından oluşturulan SSL ve S/MIME sertifikaları Madde 1.4.1 de belirtilen amaçlar dışında kullanılamaz.
1.5. İlke ve Uygulama Esaslarının Yönetimi 1.5.1. Doküman Yönetimi
Bu Sİ/SUE dokümanı Kamu SM tarafından yazılmıştır. Kamu SM, gerekli gördüğü durumlarda dokümanda değişiklik yapabilir.
1.5.2. İletişim Bilgileri
Bu Sİ/SUE dokümanının uygulanması ve ilgili yönetim ilkeleri hakkındaki sorular TÜBİTAK UEKAE’nin aşağıdaki erişim noktalarına yönlendirilebilir:
YONG-001-007 24.02.2009 12/62
Adres : TÜBİTAK UEKAE, PK. 74, 41470 Gebze-KOCAELİ Tel : (262) 648 18 18
Faks : (262) 648 18 00 E Posta : bilgi@kamusm.gov.tr URL : http://www.kamusm.gov.tr
Kamu SM, Sİ/SUE dokümanını herkesin erişimine açık bulunan aşağıdaki internet adresinden yayımlar:
http://www.kamusm.gov.tr/BilgiDeposu/
1.5.3. Sertifika Uygulama Esaslarının İlkelere Uygunluğunu Belirleyen Kişi
Bu Sİ/SUE dokümanının uygunluğu Kamu SM yönetimi ve yönetim tarafından yetki verilen kişiler tarafından belirlenir.
1.5.4. Sertifika Uygulama Esasları Onay Prosedürleri
Bu Sİ/SUE dokümanının yayımlanma onayı, Kamu SM yönetimi ve yönetim tarafından yetki verilen kişiler tarafından gerçekleştirilen incelemelerden sonra verilir.
1.6. Tanımlar ve Kısaltmalar 1.6.1. Tanımlar
Anahtar çifti: Elektronik imza oluşturmak amacıyla kullanılan özel anahtar ve ilgili açık anahtar. İmza oluşturma ve doğrulama verileri.
Bilgi deposu: Sertifikaların, sertifika iptal durum kayıtlarının ve diğer sertifika işlemleri ile ilgili bilgilerin yayımlandığı dizin sunucular gibi veri saklama ortamları.
Cihaz Sertifikası Hizmet Sağlayıcısı: Kamu Sertifikasyon Merkezi içinde oluşturulmuş, Kök Sertifika Hizmet Sağlayıcısı’nın imzasını taşıyan sertifikaya sahip olan ve SSL sertifikalarını oluşturup imzalayan Elektronik Sertifika Hizmet Sağlayıcısı.
Çevrim içi sertifika durum protokolü : Üçüncü kişilerin sertifika iptal listesine alternatif olarak sertifika geçerlilik kontrol talebini yapıp, sertifikanın iptal durumunu öğrenmelerine imkan tanıyan standart iletişim kuralı.
İptal durum kaydı: Kullanım süresi dolmamış sertifikaların iptal bilgisinin yer aldığı, iptal zamanının tam olarak tespit edilmesine imkan veren ve üçüncü kişilerin hızlı ve güvenli bir biçimde ulaşabileceği kayıt.
Kamu Elektronik Sertifika Hizmet Sağlayıcısı: Kamu Sertifikasyon Merkezi içinde oluşturulmuş, Kök Sertifika Hizmet Sağlayıcısı’nın imzasını taşıyan sertifikaya sahip olan ve kullanıcıların sertifikalarını oluşturup imzalamakla yetkili kılınmış Elektronik Sertifika Hizmet Sağlayıcısı.
Kamu Sertifikasyon Merkezi: Türkiye Bilimsel ve Teknolojik Araştırma Kurumu’na bağlı Ulusal Elektronik ve Kriptoloji Araştırma Enstitüsü Müdürlüğü bünyesinde, elektronik sertifika hizmeti sağlamak üzere oluşturulan birim.
Kök Sertifika Hizmet Sağlayıcısı: Kamu Sertifikasyon Merkezi içinde oluşturulmuş, en yetkili imza derecesi verilmiş ve sertifikasını kendisi imzalamış olan Sertifika Hizmet Sağlayıcısı.
YONG-001-007 24.02.2009 13/62
Kullanıcı: Kamu SM sisteminde kimlik doğrulaması yapılmış ve sertifika almak üzere tanımlanmış kişiler.
Nesne tanımlama numarası: Herhangi bir nesneyi eşsiz olarak tanımlayan, uluslararası standart belirleyen bir kuruluştan alınan numara.
Nitelikli elektronik sertifika: 5070 sayılı Elektronik İmza Kanunu’nun 9’uncu maddesinde sayılan nitelikleri haiz elektronik sertifika.
Sertifika güncelleme: Sertifika sahibi olarak sistemde geçerli kaydı olan ancak geçerli bir sertifikası bulunmayan kişilere yeni sertifika verilmesi süreci.
Sertifika iptal listesi: İptal olmuş sertifika bilgilerinin içinde yer aldığı ESHS’nin imzasını taşıyan elektronik dosya.
Sertifika sahibi: Kamu SM’den sertifika alan gerçek yada tüzel kişi.
Sertifika yenileme: Sertifika sahibi olarak sistemde geçerli kaydı ve geçerli bir sertifikası bulunan kişilere yeni sertifika verilmesi süreci.
Son kullanıcılar: Sertifika sahipleri ve sertifikaları kullanan üçüncü kişiler.
Üçüncü kişiler: Sertifikalara güvenerek işlem yapan gerçek veya tüzel kişiler.
Zaman damgası: Bir elektronik verinin, üretildiği, değiştirildiği, gönderildiği, alındığı ve/veya kaydedildiği zamanın tespit edilmesi amacıyla, ESHS tarafından elektronik imzayla doğrulanan kayıt.
1.6.2. Kısaltmalar
BS (British Standards): İngiliz Standartları
CEN (Comité Européen de Normalisation): Avrupa Standardizasyon Komitesi CWA (CEN Workshop Agreement): CEN Çalıştay Kararı
ÇİSDUP (OCSP): Çevrim İçi Sertifika Durum Protokolü [Online Certificate Status Protocol]
DSA (Digital Signature Algorithm): Sayısal İmza Algoritması
DSA Eliptik Eğrisi (DSA Elliptical Curve): Sayısal İmza Algoritması Eliptik Eğrisi EAL (Evaluation Assurance Level): Değerlendirme Garanti Düzeyi
ESHS: Elektronik Sertifika Hizmet Sağlayıcısı
ETSI (European Telecommunications Standards Institute): Avrupa Telekomünikasyon Standartları Enstitüsü
ETSI TS (ETSI Technical Specification): ETSI Teknik Özellikleri
FIPS PUB (Federal Information Processing Standards Publications): Federal Bilgi İşleme Standartları Yayınları
IETF RFC (Internet Engineering Task Force Request for Comments): İnternet Mühendisliği Görev Grubu Yorum Talebi
ISO/IEC (International Organisation for Standardisation / International Electrotechnical Commitee): Uluslararası Standardizasyon Teşkilatı / Uluslararası Elektroteknik Komitesi
YONG-001-007 24.02.2009 14/62
ITU (International Telecommunication Union): Uluslararası Telekomünikasyon Birliği
Kamu SM: Kamu Sertifikasyon Merkezi
LDAP (Lightweight Directory Access Protocol): Dizin Erişim Protokolü PKI (Public Key Infrastructure): Açık Anahtarlı Altyapılar
RIPEMD (RACE Integrity Primitives Evaluation Message Digest): RACE Bütünlük Asli Mesaj Değerlendirme Özeti
RSA: Rivest Shamir Adleman (Algoritmayı bulan kişilerin baş harfleri) SHA (Secure Hash Algorithm): Güvenli Özet Algoritması
Sİ: Sertifika İlkeleri SİL: Sertifika İptal Listesi
SHS: Sertifika Hizmet Sağlayıcısı SSL: Secure Sockets Layer
S/MIME: Secure Multipurpose Mail Extension SUE: Sertifika Uygulama Esasları
YONG-001-007 24.02.2009 15/62 2. Yayımlama ve Bilgi Deposu
Bilgi deposu, Kamu SM’nin ürettiği sertifikaları, iptal durum kayıtlarını, Sİ ve SUE gibi ilgili dokümanları sertifika sahiplerinin ve üçüncü kişilerin ulaşabileceği şekilde kesintisiz, güvenli ve ücretsiz olarak yayımladığı ortamdır.
Kamu SM’nin bilgi deposuna internet üzerinden erişilir. İnternet üzerinden Kamu SM hakkında bilgiler, sertifika yönetimiyle ilgili dokümanlar, teknik bilgilendirme dokümanları, başvuru formları ve duyurular yayımlanır.
2.1. Bilgi Depoları
Kamu SM, bilgi deposu olarak internet üzerinden hizmet veren servisleri kullanmaktadır. Bilgi depolarına erişim adresleri ve erişilebilen bilgiler aşağıda verilmektedir.
http://www.kamusm.gov.tr/BilgiDeposu internet adresi üzerinden SUE ve Sİ dokümanları, Kamu SM’ye ait sertifikalar ve SİL’lere erişilmektedir.
ldap://dizin.kamusm.gov.tr/ adresinden erişilebilen LDAP dizin sunucusu üzerinden SİL’lere erişim sağlanır.
http://ocsp3.kamusm.gov.tr/ adresinden servis veren ÇİSDUP Yanıtlayıcısı üzerinden sertifika iptal listelerine alternatif olarak sertifikaların en güncel haliyle geçerlilik durumunun kontrolü yapılabilmektedir.
2.2. Sertifika Hizmeti ile İlgili Bilgilerin Yayımlanması
Kamu SM’nin sistem bileşenlerinin erişimine açacağı bilgi deposunda sistemin iç işleyişi ile ilgili olanlar hariç olmak üzere aşağıdaki bilgiler bulunur:
• Kamu SM’ye ait Kök SHS ve ESHS sertifikaları,
• Kamu SM’ye ait Kök SHS sertifikasının özet değeri ile özet değerinin hesaplanmasında kullanılan özetleme algoritmasının hangisi olduğu bilgisi,
• Kamu SM Sİ ve SUE dokümanları,
• Taahhütnameler,
• Sözleşmeler,
• Formlar,
• Sertifika iptal durum kayıtları.
2.3. Yayın Sıklığı ve Zamanı
Taahhütnameler, Sertifika Sözleşmeleri, sertifika yönetim prosedürleri, SUE ve Sİ dokümanları içeriğinin değişmesi üzerine güncellenir. Güncellenen dokümanlar, güncelleme yapılmasını müteakip derhal yayımlanır.
Kamu SM’ye ait sertifikalar güncelleme yapılmasını müteakip derhal yayımlanır.
Sertifika iptal durum kayıtlarının yayımlanma sıklığı bu dokümanda Bölüm 4.9.7 ve 4.9.9’da belirtilmektedir.
2.4. Erişim Kontrolleri
Kamu SM bilgi deposuna bilgi edinme amaçlı erişim herkese açıktır.
YONG-001-007 24.02.2009 16/62
Bilgi deposunun güncellenmesi, yetkisi olan Kamu SM çalışanı kişiler tarafından yapılmaktadır.
Kamu SM bilgi deposu ile ilgili olarak aşağıdaki yükümlülükleri yerine getirir:
• Bilgi deposunda tutulan bilgilerin izinsiz silinmeye ve değiştirilmeye karşı bütünlüğünü korumak,
• Bilgi deposunda tutulan bilgilerin doğruluğu ve güncelliğini sağlamak,
• Bilgi deposunu sürekli olarak erişime açık tutmak,
• Bilgi deposunun kesintisiz olarak erişilebilirliğini sağlamak için gerekli önlemleri almak,
• Bilgi deposuna erişimi ücretsiz sağlamak.
YONG-001-007 24.02.2009 17/62 3. Kimlik Belirleme ve Doğrulama
3.1. İsimlendirme
3.1.1. İsim Alanı Tipleri
Kamu SM tarafından üretilen sertifikalarda, sertifika sahibine ait kimlik bilgilerinin belirtildiği DN [Distinguished Name (Ayırt edici isim)] alanı içinde “ITU X.500” biçiminin desteklediği isim tipleri kullanılır.
3.1.2. Kimlik Bilgilerinin Teşhise Elverişli Olması
Sertifikalar üzerinde yer alan kimlik bilgileri gerçek yada tüzel kişileri tanımlayacak şekilde anlamlı olmalıdır (ad, soyad, kurum ismi, mail adresi).
3.1.3. Sertifika Sahibinin Takma İsim veya Lakap Kullanması
Sertifika içeriğinde takma isim veya lakap kullanılmasına izin verilmez.
3.1.4. Farklı İsim Alanı Tiplerinin Yorumlanması
Sertifika içeriğinde ITU X.500 biçimi dışında isim alanı tipi kullanılmaz.
3.1.5. Kimlik Bilgilerinin Tekilliği
Kamu SM tarafından oluşturulan sertifikaların içeriğindeki kimlik bilgileri her gerçek yada tüzel kişiler için ayırt edici niteliktedir. Aynı gerçek yada tüzel kişiye ait sertifikaların içeriğindeki kimlik bilgilerinin aynı olmasına izin verilmektedir. Ancak farklı kişilere ait elektronik sertifikaların içeriğindeki kimlik bilgilerinin aynı olması engellenmektedir.
3.1.6. Markanın Tanınması, Doğrulanması ve Rolü
Sertifika başvuru sahipleri başvuru esnasında başkalarına ait fikri ve sınai mülkiyet haklarına zarar verecek isimleri kullanamazlar. Kamu SM sertifika başvurusu esnasında kullanılan isimlerin fikri ve sınai mülkiyet haklarının başvuru sahibine ait olup olmadığını doğrulamaz. Ortaya çıkabilecek herhangi bir fikri ve sınai mülkiyet hakkı problemi ile ilgili olarak Kamu SM sertifika başvurusunu reddetme veya ürettiği sertifikaları iptal etme hakkına sahiptir. Problemin giderilmesine yönelik olarak Kamu SM herhangi bir arabulucuk faaliyeti yürütmez.
3.2. İlk Kimlik Belirleme
Kamu SM, sertifika hizmetlerinden faydalanmak için ilk defa başvuruda bulunulduğunda, ilgili kişi ve kurumun kimliklerinin doğrulanabilmesi için aşağıda tanımlanan yöntemler uygulanır.
3.2.1. İmza Oluşturma Verisine Sahip Olmanın Kanıtlanması
SSL Sertifika başvurusu esnasında başvuru sahibi tarafından oluşturulan sertifika imzalama isteği imza oluşturma verisi ile imzalanır. Bu sayede imza oluşturma verisine sahiplik doğrulanır.
S/MIME sertifikası için imza oluşturma ve doğrulama verileri Kamu SM tarafından oluşturulup sertifika başvuru sahibine ulaştırılabilir. Bu durumda imza oluşturma verileri sertifika sahibine elektronik imza oluşturma aracında elden teslimat yapılarak ulaştırılır.
YONG-001-007 24.02.2009 18/62 3.2.2. Kurumsal Kimliğin Belirlenmesi
Kamu SM’den SSL sertifikası talebinde bulunan kamu kurumlarının kimlik belirlemesi Kamu SM ve ilgili kamu kurumu arasında yapılan resmi yazışmalar ve sertifika imzalama isteğinde belirtilen alan adının sahipliğinin ilgili kanallardan (nic.tr) doğrulanması yoluyla yapılır.
S/MIME sertifika başvurularında eğer başvuru sahibi tarafından sertifika içerisinde kurum bilgisi bulunması isteniyorsa ilgili kamu kurumlarının kimlik belirlemesi Kamu SM ve ilgili kamu kurumu arasında yapılan resmi yazışmalar yoluyla yapılır.
3.2.3. Kişisel Kimliğin Belirlenmesi
Kamu SM’den SSL sertifikası talebinde bulunan kişilerin sertifika üzerinde yer alacak alan adı ile ilgili sertifika talep etmeye yetkili olup olmadığı madde 3.2.5 de anlatıldığı şekilde doğrulanır.
S/MIME sertifika başvurularında sertifika içeriğinde yer alacak olan e-posta adresinin başvuru sahibi tarafından kullanıldığını doğrulamak amacıyla e-posta adresi kullanılır. Bu amaçla ilgili e-posta adresi ile irtibata geçilerek doğrulama yapılır ve kişinin e-posta adresine erişiminin olduğu kanıtlanır. E-posta adresi olarak sadece kurum alan adına ait e-posta adresleri kabul edilir.
3.2.4. Doğrulanmayan Sertifika Sahibi Bilgileri
Kamu SM tarafından oluşturulan SSL ve S/MIME sertifikaları doğrulanmayan bilgiler içermez.
3.2.5. Yetkinin Doğrulanması
Kamu SM’den SSL sertifikası talebinde bulunan kişilerin sertifika üzerinde yer alacak alan adı ile ilgili sertifika talep etmeye yetkili olup olmadığı ilgili kamu kurumları ile yapılan resmi yazışmalar ile doğrulanır.
3.2.6. Uyum Kriterleri
Düzenlenmesine gerek duyulmamıştır.
3.3. Sertifika Yenileme İsteğinde Kimlik Doğrulama
3.3.1. Olağan Sertifika Yenileme İsteğinde Kimlik Doğrulama
Geçerli bir sertifikası olan sertifika sahipleri, sertifikanın kullanım süresi dolmadan önce ve sertifikanın içeriğinde herhangi bir değişiklik olmaması durumunda, Kamu SM’ye olağan sertifika yenileme talebinde bulunabilirler. Olağan setifika yenileme isteğinde kimlik doğrulaması 3.2.2 ve 3.2.3 de belirtildiği şekilde yapılır.
3.3.2. İptal Sonrası Sertifika Güncelleme İsteğinde Kimlik Doğrulama
Sertifikanın içeriğindeki bilgilerin değişmesi, kullanım süresinin dolması ve iptal sonrası yeni sertifika isteğinde bulunulması durumunda, yeniden sertifika almak isteyen sertifika sahibi güncelleme talebinde bulunur. İptal sonrası sertifika güncelleme isteğinde kimlik doğrulaması 3.2.2 ve 3.2.3 de belirtildiği şekilde yapılır.
YONG-001-007 24.02.2009 19/62 3.4. Sertifika İptal İsteğinde Kimlik Doğrulama
Sertifika sahibi internet üzerinden işlem yaparak, çağrı merkezini arayarak veya Kamu SM’ye kağıt üzerinde ıslak imzalı form veya yazı göndererek sertifikasının iptal edilmesini isteyebilir.
İnternet üzerinden ve çağrı merkezinden iptal isteklerinin kabul edilebilmesi için sertifika sahibine ait parola veya kişisel bilgiler kullanılarak kimlik doğrulaması yapılır.
Bunun için sertifika sahibinin iptal başvurusunda bulunduğu sırada bildirdiği parola ve diğer kişisel bilgileri, Kamu SM sisteminde kayıtlı bulunan bilgilerle kıyaslanarak doğruluğu kontrol edilir. Kağıt üzerinde ıslak imzalı form veya yazı ile yapılan iptal başvurularında kimlik doğrulaması sertifika sahibinin iletişim bilgileri kullanılarak irtibata geçilmesi yolu ile yapılır.
YONG-001-007 24.02.2009 20/62 4. İşlemsel Gerekler
Bu bölümde sertifika yönetim süreçlerinde yapılan işlemler anlatılmaktadır. Süreçlerle ilgili ayrıntılar Kamu SM’nin internet sitesinde belirtilmektedir. Sertifika yönetimi aşağıdaki süreçlerden oluşmaktadır:
• Sertifika başvurusu
• Sertifika yenileme
• Sertifika güncelleme
• Sertifika iptal etme
Süreçler sertifika sahipleri ve Kamu SM arasında gerçekleştirilen işlemlerden oluşmaktadır.
4.1. Sertifika Başvurusu
4.1.1. Sertifika Başvurusunu Kimlerin Yapabildiği
SSL ve S/MIME sertifika başvurusu, kamu kurum veya kuruluşları tarafından Kamu SM’ye kurumsal olarak yapılır. Kurum, Kamu SM’den alacağı sertifika hizmetlerinin şartlarını belirleyen SSL veya S/MIME Sertifika Temini Sözleşmesini TÜBİTAK UEKAE ile karşılıklı imzalar. Kurum çalışanı kurumun talebi olmadan bireysel olarak sertifika başvurusunda bulunamaz.
Kurum, başvuru sırasında S/MIME sertifikası almak istediği çalışanlarının adını Kamu SM’ye bildirir. Kurum, çalışanının haberi olmadan çalışanı adına sertifika başvurusunda bulunamaz. Kurum çalışanının durumdan haberdar olması ve S/MIME sertifikası almayı kendisinin talep etmesi gerekir. Bu talep, kurum çalışanı tarafından doldurulup imzalanan sertifika başvuru formunun Kamu SM’ye iletilmesi ile yapılır.
4.1.2. Kayıt İşlemleri ve Sorumluluklar
SSL ve S/MIME sertifikası başvurusu, kamu kurum veya kuruluşu tarafından Kamu SM’ye yapılır. Kurum, Kamu SM’den alacağı sertifika hizmetlerinin şartlarını belirleyen SSL veya S/MIME Sertifika Temini Sözleşmesini TÜBİTAK UEKAE ile karşılıklı imzalar.
Kurum SSL sertifikası için gerekli sertifika imzalama isteğini güvenli erişim kanalları kullanarak çevrimiçi olarak Kamu SM’ye iletir. S/MIME sertifikası için ise sertifika talebinde bulunduğu personelin listesini ilgili formlar ile birlikte resmi yazı ekinde Kamu SM’ye iletir.
Bilgi ve belgelerin gizliliğinin sağlanması için belgelerin kapalı zarf içinde Kamu SM’ye iletilmesi gerekmektedir. Belgelerin Kamu SM’nin eline geçene kadarki zaman içerisinde gizliliğinin sağlanmasından kurum sorumludur.
S/MIME sertifikası başvurusunda bulunan kişi başvuru sırasında, sertifikasının herkesin erişimine açık dizin sunuculardan yayımlanıp yayımlanmayacağı konusundaki talebini Kamu SM’ye yapar. S/MIME sertifikası başvurusunun nasıl yapılacağı ile ilgili ayrıntılar Kamu SM’nin internet sitesinde yayımlanmaktadır.
YONG-001-007 24.02.2009 21/62 4.2. Sertifika Başvurusunun İşlenmesi
4.2.1. Kimlik Tanımlama ve Doğrulama İşlevlerinin Yerine Getirilmesi
Başvuru sırasında kurumdan gelen belgelerin Kamu SM tarafından incelenmesi sonucunda kimlik tanımlama ve doğrulama işlevleri yerine getirilir.
SSL sertifikası başvurusunda bulunan kurumlar resmi yazı ve ekinde SSL sertifikası başvuru formunu Kamu SM’ye gönderir. İlgili form üzerindeki alan adı kaydının kurum tarafından kullanım hakkının olup olmadığı TR alan adları yönetiminden kontrol edilir.
S/MIME sertifikası başvurusunda bulunan kurumlar resmi yazı ve ekinde S/MIME sertifika başvuru formunu Kamu SM’ye gönderir. Başvuru formlarında bulunan e-posta adreslerine doğrulama mesajı gönderilerek başvuru sahibinin e-posta adresine sahipliği doğrulanır.
4.2.2. Sertifika Başvurusunun Kabul veya Reddi
Bölüm 4.2.1’deki kontrollerin yapılması sonucunda, sertifika başvurusu sırasında beyan edilen belgelerde tahrifat, hata, eksik onay, eksik bilgi veya yanlış bilgi olması durumlarında başvuru geri çevrilir. Başvurusu kabul edilmeyenlerle ilgili bilgilendirme kuruma ve/veya başvuru sahibi kişiye yazılı veya sözlü olarak yapılır. Yazılı bilgilendirme kuruma resmi yazı gönderme veya kurum ve/veya başvuru sahibine e-posta/sms gönderme yoluyla yapılır. Sözlü bilgilendirme kuruma ve/veya başvuru sahibine telefon açılarak yapılır.
Kurum ve başvuru sahibine ait e-posta ve telefon bilgileri başvuru sırasında beyan edilen bilgilerdir. Gereken düzeltmeler yapılıp eksiklikler tamamladıktan sonra başvuru tekrarlanabilir.
Başvurusu kabul edilenler Kamu SM sisteminde kullanıcı olarak tanımlanır ve sertifika üretim süreci başlatılır.
4.2.3. Sertifika Başvurusunun İşlenme Zamanı
Başvuru ile ilgili geçerli tüm belgelerin Kamu SM’nin eline geçmesinin ardından en fazla 10 (on) iş günü içinde sertifika başvurusu işleme alınır ve sonuçlandırılır.
4.3. Sertifikanın Oluşturulması
4.3.1. Sertifika Oluşturulmasında ESHS’nin İşlevleri
Sertifika başvurusu tamamlanarak sistemde kullanıcı olarak tanımlanan gerçek ve tüzel kişiler adına Kamu SM tarafından sertifika oluşturulur. SSL sertifikası oluşturulmadan önce başvuru sahibi tarafından Kamu SM’ye ulaştırılan sertifika imzalama isteğinin teknik kriterleri sağlayıp sağlamadığı da kontrol edilir.
4.3.2. Sertifika Oluşturulması ile İlgili Sertifika Sahibinin Bilgilendirilmesi
Kamu SM oluşturulan SSL sertifikasını sahibine e-posta ve/veya güvenli çevrim içi yöntemler kullanarak ulaştırır, S/MIME sertifikası ise sertifika sahibine elektronik imza oluşturm aracında ulaştırılır. Hangi yöntemin kullanılacağı başvuru sahibi ile yapılan sözleşmelerde belirlenir.
YONG-001-007 24.02.2009 22/62 4.4. Sertifikanın Kabül Edilmesi
4.4.1. Sertifikanın Kullanıma Açılma Biçimi
SSL sertifikaları sertifika sahibine ulaştırıldığı andan itibaren sertifika sahibi tarafından kabül edilmiş sayılır. Sertifika sahibi sertifika içerisindeki bilgilerin başvuru esnasında beyan ettiği bilgilerle aynı olup olmadığını kontrol eder ve herhangi bir uygunsuzluk durumunda derhal Kamu SM’yi bilgilendirir ve sertifikayı kullanmaz. Sertifika Kamu SM tarafından iptal edilir.
S/MIME sertifikaları ilk üretildiklerinde SİL içinde askıya alınmış konumda, ÇİSDUP yanıtlayıcı’da ise iptal konumunda bulunurlar. Askı ve iptal konumundaki sertifikalar ile işlem yapılamaz. S/MIME sertifikası sahibi aşağıdaki yöntemlerden birisi kullanılarak kullanıma açılabilir.
https://nesbireysel.kamusm.gov.tr web adresi kullanılarak.
Sertifika sahibi, sertifikanın kullanıma açılması için https://nesbireysel.kamusm.gov.tr adresine bağlanarak, kendisine kapalı parola zarfı içinde gönderilen kullanıcı parolasını girer.
İnternet üzerinden kimlik doğrulamasının yapılmasının ardından sertifikasının kullanıma açılması talimatını verir.
Kamu SM Çağrı merkezi aranmak suretiyle.
Sertifika sahibi, Kamu SM çağrı merkezi vasıtasıyla kimlik doğrulamasının yapılmasının ardından sertifikasının kullanıma açılması talimatını verir.
Kamu SM S/MIME Sertifikası Askıdan Çıkarma Başvuru Formu kullanılarak.
Sertifika sahibi, Kamu SM S/MIME Sertifikası Askıdan Çıkarma Başvuru Formu’nu doldurup imzalayarak Kamu SM’ye iletir.
4.4.2. Sertifikanın ESHS Tarafından Yayımlanması
Kamu SM ürettiği S/MIME sertifikalarını, başvuru sırasında sertifika sahibinin onayını almak kaydıyla, herkesin erişimine açık LDAP dizin sunucusundan yayımlar.
4.4.3. Sertifikanın Oluşturulmasının Diğer Bileşenlere Duyurulması
Düzenlenmesine gerek duyulmamıştır.
4.5. Sertifikanın ve İmza Oluşturma Verisinin Kullanımı
4.5.1. Sertifika Sahibinin Sertifika ve İmza Oluşturma Verisini Kullanımı
Sertifika sahipleri imza oluşturma verilerini yetkisiz kişilerin erişimine karşı korumakla yükümlüdür. SSL ve S/MIME sertifikalarına karşılık gelen imza oluşturma verileri yalnızca sertifikada “Anahtar Kullanımı” alanında belirtilen amaçlar dahilinde kullanılabilir.
4.5.2. Üçüncü Kişilerin Sertifika ve İmza Doğrulama Verisini Kullanımı
Sertifika sahibine ait sertifikaların içinde yer alan imza doğrulama verileri, üçüncü kişilerce doğrulama amacıyla kullanılır. Üçüncü taraflar, güvenecekleri sertifikanın ve sertifika yı oluşturan ESHS nin sertifikasının geçerliliğini kontrol etmekle, setifika “Anahtar kullanım” alanında belirtilen amaçlar doğrultusunda kullanıldığını doğrulamakla ve bu Sİ/SUE de belirtilen kullanım koşullarına uymakla yükümlüdürler.
YONG-001-007 24.02.2009 23/62 4.6. Sertifikanın Yeniden Üretilmesi
Sertifikanın yeniden üretilmesi, eski anahtar çifti kullanılarak sertifikanın yenilenmesi anlamına gelmektedir. Kamu SM sistemi içinde bu işlemin yapılmasına izin verilmemektedir.
4.7. Sertifikanın Yenilenmesi
Sertifikanın yenilenmesi, sistemde geçerli bir sertifikası bulunan sertifika sahibine, sertifikanın son geçerlilik tarihinden önce, yeni bir anahtar çifti üreterek ve sertifikanın içeriğinde bulunan bilgilerde değişiklik yapmadan, eskisinin yerine geçecek yeni bir sertifika verilmesi anlamına gelmektedir. SSL ve S/MIME sertifikaları için sertifika yenilemesi yapılmaz. Sertifika son geçerlilik tarihinden 60 gün önce sertifika sahibine e-posta gönderilerek sertifikasının geçerlilik süresi ve tekrar sertifika başvurusu yapması hususunda bilgilendirilir. Sertifika sahibi tekrar sertifika başvurusunda bulunmak isterse bölüm 4.1 de anlatıldığı şekilde başvurusunu gerçekleştirir.
4.8. Sertifikanın Güncellenmesi
Sertifikanın güncellenmesi, sertifika geçerlilik süresinin dolmuş olması veya sertifikanın içeriğindeki bilgilerde herhangi bir değişiklik olması durumlarında yeniden sertifika talep edilmesi ve üretilmesi anlamına gelmektedir. Sertifika güncellenmesi yeni sertifika başvurusu kapsamında değerlendirilir ve bölüm 4.1 de anlatılan süreç işletilir..
4.9. Sertifikanın İptali ve Askıya Alınması 4.9.1. Sertifikanın İptal Edildiği Durumlar
Sertifika iptali, sertifikanın kullanım süresi dolmadan geçerliliğini yitirdiği durumlarda kullanımdan kaldırılması işlemidir. Sertifikanın kullanımdan kaldırılması iptal olduğu bilgisinin herkesin erişebileceği şekilde duyurulması anlamına gelmektedir.
Aşağıdaki sebeplerin ortaya çıkması durumunda sertifika sahibi Kamu SM’ye sertifikanın iptal edilmesi için başvuruda bulunur.
• İmza oluşturma verisinin güvenliğinin kaybedildiğinden şüphelenilmesi,
• Sertifikanın içeriğinde yer alan bilgilerin değişmesi.
Kamu SM, aşağıdaki sebeplerin ortaya çıkması durumunda sertifika sahibine ait sertifikayı iptal eder:
• Sertifika içeriğindeki sertifika sahibine ait bilgilerin sahteliğinin veya yanlışlığının ortaya çıkması,
• Sertifika sahibinin fiil ehliyetinin sınırlandığının, iflasının, gaipliğinin ya da ölümünün öğrenilmesi,
• Sertifikanın SSL ve S/MIME Sertifika Sahibi Taahhütnamesi, Kurum ile imzalanan SSLve S/MIME Sertifika Temini Sözleşmesi, Sİ/SUE dokümanında belirtilen şartlara aykırı kullanımının tespit edilmesi,
• Kamu SM’nin sertifikayı imzalamak için kullandığı imza oluşturma verisinin güvenliğinin bozulması,
• Kamu SM’nin işleyişine son vermesi ve verilen sertifikaların yönetim işlemlerinin başka bir ESHS tarafından devamlılığının sağlanamaması.
YONG-001-007 24.02.2009 24/62 4.9.2. Sertifika İptal Başvurusunu Kimlerin Yapabildiği
Kamu SM tarafından verilen SSL sertifikalarını iptal etme yetkisi alan adı sahibi kurum yetkilisindedir. Kamu SM sertifika iptali yapmadan önce gerekli doğrulama işlemlerini yapar.
Kamu SM tarafından verilen S/MIME sertifikalarını iptal etme talebi, sözleşmede aksi belirtilmediği sürece, sadece sertifika sahibinin kendisi tarafından yapılabilir.
Kamu SM Bölüm 4.9.1’de belirtilen durumlarda sertifikayı iptal etme yetkisine sahiptir. Kamu SM, sertifikayı iptal ettiğinde sertifika sahibini ve gerekirse ilgili kişileri bilgilendirir, iptal sebebini açıklar.
4.9.3. Sertifika İptal Başvurusunun İşlenmesi
S/MIME sertifikası iptal başvurusu, sertifika sahibi tarafından telefonla çağrı merkezinden, internet sitesi üzerinden veya yazılı olarak Kamu SM’ye yapılır. İptal başvurusu alındığında öncelikle başvuruyu yapan sertifika sahibinin kimlik belirlemesi ve doğrulaması yapılır. Kimlik doğrulaması yapılamayan iptal başvuruları işleme alınmaz. İnternet üzerinden yapılan iptal başvurusunda, sertifika sahibi https://nesbireysel.kamusm.gov.tr internet adresi üzerinden, Kamu SM sisteminde kayıtlı bulunan kullanıcı parolasını girerek iptal talebinde bulunur. İnternet üzerinden kimlik doğrulama işleminin yapılmasıyla, sertifika Kamu SM sisteminde otomatik olarak iptal edilir. Çağrı merkezi aracılığıyla yapılan iptal başvurularında, sertifika sahibi Kamu SM çağrı merkezini arar. Çağrı merkezi üzerinden kimlik doğrulama işleminin yapılmasıyla, sertifika çağrı merkezinde çalışan sertifika işletmeni tarafından iptal edilir. Yazılı olarak yapılan taleplerde sertifika sahibi, imzasını taşıyan iptal başvuru formunu Kamu SM’ye iletir. Form üzerindeki bilgiler ve sertifika sahibine ait imza kontrol edilerek kimlik doğrulaması yapılır. Kimlik doğrulamasının yapılmasının ardından sertifika Kamu SM sertifika işletmeni tarafından iptal edilir.
SSL sertifikası iptali başvuru alan adı sahibi kurum tarafından Kamu SM’ye kurum onaylı resmi yazı ile bildirimde bulunmak sureti ile yapılabilir.
Başvuruların nasıl yapılacağı Kamu SM’nin http://www.kamusm.gov.tr web adresinde ayrıntılı olarak anlatılır. Kamu SM iptal işleminin gerçekleştirilebilmesi için gerekli hizmetleri kesintisiz olarak sunar.
Kamu SM iptal bilgilerini en kısa zamanda işler ve kamuya duyurur. Kamuya duyurulan iptal durum kayıtları en azından sertifikanın seri numarası ile Kamu SM’nin elektronik imzasını taşır. Kamu SM, iptal durum kayıtlarını SSL ve S/MIME sertifikaları için SİL yayımlamak ve ek olarak S/MIME sertifikaları için ÇİSDUP Yanıtlayıcı’da sertifikanın durumunu iptal konumuna getirmek suretiyle duyurur.
SİL dosyası, Kamu SM’ye ait imza oluşturma verisi ile imzalanır. İptal edilen sertifikaların seri numarası sertifikanın geçerlilik süresinin sonuna kadar SİL içinde tutulur.
Geçerlilik süresi dolduktan sonra sertifika seri numarası SİL içinden çıkarılır. ÇİSDUP Yanıtlayıcı’da geçerlilik süresi dolan iptal edilmiş sertifikaların durumu iptal edilmiş konumda görünmeye devam eder.
4.9.4. İptal İsteği Ertelenme Süresi
Böyle bir süre öngörülmemiştir.
YONG-001-007 24.02.2009 25/62 4.9.5. İptal İsteğinin İşlenme Süresi
Kamu SM, kendisine gelen geçerli iptal başvurularını derhal işleme alır ve gerekli doğrulamanın ardından sertifikayı iptal eder.
4.9.6. Üçüncü Kişilerin Sertifika İptal Durumunu Kontrol Gerekliliği
Kamu SM, iptal durum kayıtlarını ücretsiz olarak kamuya açar. Sertifika iptal durum kayıtlarına, sorgulama yapacak kişinin kimlik doğrulamasına gerek kalmadan dileyen herkes tarafından erişilebilir. Kamu SM, iptal durum kayıtlarına erişimin sürekliliğini sağlar.
Üçüncü kişiler sertifikalara dayanarak işlem yapmadan önce sertifikaların geçerliliğini SİL ya da ÇİSDUP yöntemlerinden birini kullanarak kontrol etmekle yükümlüdür.
Üçüncü kişiler sertifika geçerlilik kontrolünü yaptığı SİL dosyasının veya ÇİSDUP Yanıtlayıcı’dan aldığı iptal durum kaydının Kamu SM’ye ait imza oluşturma verisiyle imzalandığını kontrol eder. Üçüncü kişilerin yapması gereken geçerlilik kontrolleri Bölüm 9.6.4’te belirtilmiştir.
4.9.7. Sertifika İptal Listesi Yayımlama Sıklığı
Sertifika sahiplerine ait sertifika iptal bilgisinin bulunduğu SİL’lerin geçerlilik süresi 36 (otuzaltı) saattir. Ancak bu sürenin dolması beklenmeden SİL yayım zamanından 24 (yirmidört) saat sonra güncellenir. Gün içinde yeni bir sertifika iptali olmasa dahi SİL güncellenir. Ancak geçerli bir iptal başvurusunun alınıp sertifika sahibine ait sertifikanın Kamu SM sistemi içinde iptal edilmesi durumunda, SİL dosyasının geçerlilik süresinin dolması beklenmeden en geç 5 (beş) dakika içinde yeni bir SİL dosyası yayımlanır. Eski SİL dosyaları geçerlilik süresinin sonuna kadar geçerliliğini korur.
Kamu SM’ye ait alt kök sertifikalarının iptal bilgilerinin duyurulduğu SİL dosyası 3 (üç) ayda bir yenilenir. Sertifikanın iptali durumunda SİL dosyası derhal yenilenir.
4.9.8. Sertifika İptal Listesi Yayımlama Gecikme Süresi
Sertifika İptal Listesi, belirtilen yayımlama zamanından en geç 5 (beş) dakika sonra yayımlanır.
4.9.9. Çevrim İçi Sertifika İptal Durum Kaydı Desteği
Kamu SM, S/MIME sertifikaların iptal durum bilgisini ÇİSDUP üzerinden yayımlar.
ÇİSDUP’dan yayımlanan iptal durum kaydı Kamu SM’ye ait olduğu duyurulan imza oluşturma verisiyle imzalanır. ÇİSDUP Yanıtlayıcı’daki iptal durum kayıtları geçerli iptal başvurusu alındığında 20 (yirmi) saniye sonra güncellenir.
ÇİSDUP desteği olan uygulamalar S/MIME sertifikasının geçerlilik durum kontrolünü http://ocsp3.kamusm.gov.tr adresi üzerinden sağlar.
4.9.10. Çevrim İçi Sertifika İptal Durum Kaydı Gereksinimi
Kamu SM, sertifika iptal bilgisinin sisteme daha az yük getirecek biçimde yayımlanmasını sağladığı için, SİL yanında çevrim içi sertifika iptal durum kaydı desteğini de vermektedir.
SİL dosyası, iptal edilen her sertifika için iptal bilgisinin eklenmesiyle gittikçe büyüyen bir dosya niteliğindedir. Güncel iptal durum kaydına her ihtiyaç duyulduğunda dosyanın Kamu SM bilgi deposundan indirilmesi gerekir. Gittikçe büyüyen SİL dosyasının
YONG-001-007 24.02.2009 26/62
sisteme getireceği yüke karşılık, ÇİSDUP ilgili sertifikanın iptal olup olmadığı bilgisinin talep eden tarafa soru cevap yöntemiyle iletilmesine olanak tanımaktadır.
4.9.11. Diğer Sertifika Durum Bildirim Yöntemleri
Kamu SM, SİL ve ÇİSDUP dışında iptal durum kaydı bildirim yöntemlerini uygulamamaktadır.
4.9.12. İmza Oluşturma Verisinin Güvenliğini Yitirmesi Durumu
Sertifika sahibine ait imza oluşturma verisinin güvenliğini yitirmesi durumunda sertifika iptal edilir. Sertifikanın iptal edilmesi dışında herhangi bir husus uygulanmamaktadır.
4.9.13. Sertifikanın Askıya Alındığı Durumlar
SSL sertifikaları için askıya alma işlemi uygulanmamaktadır.
S/MIME sertifikaları sadece ilk üretildiklerinde Kamu SM tarafından askıya alınır ve sertifika sahibi tarafından Kamu SM’ye askıdan çıkarma talebi yapılmadığı sürece askıda kalmaya devam eder. S/MIME sertifikaları için sonraki aşamalarda askıya alma işlemi uygulanmaz.
4.9.14. Sertifika Askıya Alma Başvurusunu Kimlerin Yapabildiği
Düzenlenmesine gerek duyulmamıştır.
4.9.15. Sertifika Askıya Alma Başvurusunun İşlenmesi
Düzenlenmesine gerek duyulmamıştır.
4.9.16. Askıda Kalma Süresi
Kamu SM tarafından ilk üretildikleri sırada askıya alınan S/MIME sertifikaları aşağıdaki koşullar gerçekleşmediği sürece askıda kalmaya devam eder.
• Sertifika sahibi tarafından askıdan çıkarma talebinin Kamu SM’ye iletilmesi.
• Sertifikanın geçerlilik süresinin dolması.
• Sertifikanın herhangi bir sebepten dolayı iptal edilmesi.
4.10. Sertifika Durum Servisleri
Üçüncü kişiler, Kamu SM sertifika iptal durum kayıtlarına SİL ve ÇİSDUP servisleri aracılığıyla aşağıda belirtilen şekilde ulaşır.
4.10.1. İşletimsel Özellikleri
Üçüncü kişiler, sertifika iptal durum kayıtlarına Kamu SM’ye ait SİL dosyalarından erişebilirler. Kamu SM’ye ait SİL dosyalarına erişim bilgileri 2. Bölüm’de verilmiştir. SİL dosyaları her yeni iptal olduğunda güncellenir. Üçüncü kişiler, iptal durum kaydını her kontrol etmek istediklerinde güncel SİL dosyasını Kamu SM bilgi deposundan kendi sistemlerine kopyalar ve gerekli kontrolleri yaparlar.
ÇİSDUP İstemci desteği olan üçüncü kişiler, sertifika iptal durumunu ÇİSDUP Yanıtlayıcı’dan öğrenebilirler. ÇİSDUP Yanıtlayıcı erişim adresi 2. Bölümde verilmiştir.
Üçüncü kişiler sertifika veya sertifikaların geçerlilik durumunu her kontrol etmek istediklerinde, ÇİSDUP Yanıtlayıcı üzerinden sorgulama yaparlar.
YONG-001-007 24.02.2009 27/62 4.10.2. Servisin Erişilebilirliği
SİL ve ÇİSDUP servislerinin verildiği sistemlere erişimin kesintisiz olarak sağlanabilmesi için gereken tüm tedbirler Kamu SM tarafından alınır. Ancak buna rağmen erişimin bir süreliğine kesilmiş olması durumunda üçüncü kişiler, problem giderilinceye kadar sertifika iptal durum kaydını kontrol etmeleri gereken işlemlerini durdurur. Üçüncü kişilerin iptal durum kaydını, erişimin kesilmesi sebebiyle kontrol etmeden yaptıkları işlemlerden doğan zararlardan Kamu SM sorumlu tutulamaz.
4.10.3. İsteğe Bağlı Özellikler
Düzenlenmesine gerek duyulmamıştır.
4.11. Sertifika Sahipliğinin Sona Ermesi
Sertifikanın kullanım süresinin dolması, iptal edilmesi ve Kamu SM’nin sertifika hizmetlerini sonlandırmasıyla sertifika sahipliği sona erer. Kamu SM sertifikanın iptal edilmesi ve Kamu SM tarafından sertifika hizmetlerinin sonlandırılması durumunda sertifika sahibini ve varsa sözleşmelerde belirtilen kişileri bilgilendirir. Kullanım süresinin dolması durumunda Kamu SM sertifika sahibini bilgilendirmez; sertifika sahibi sertifikasının kullanım süresinin dolduğu zamanı kendisi takip etmekle yükümlüdür.
4.12. Anahtar Yeniden Üretme
Sertifika sahiplerine ait anahtarların yeniden üretilmesi veya yedeklenmesi işlemi uygulanmamaktadır.
YONG-001-007 24.02.2009 28/62 5. Yönetim, İşlemsel ve Fiziksel Kontroller
Bu bölümde Kamu SM tarafından sertifika hizmeti verilirken yerine getirilmesi gereken teknik olmayan güvenlik kontrolleri anlatılmıştır.
5.1. Fiziksel Güvenlik Denetimleri
Kamu SM sisteminin çalıştığı cihazların bulunduğu binalar ve odalar, giriş ve çıkışların kontrol edildiği, yetkisiz kişilerin girişini engelleyen güvenlik önlemleri ile donatılmıştır.
5.1.1. Tesis Yeri ve İnşaatı
Kamu SM sisteminin çalıştığı binanın bulunduğu mekan, yerleşim merkezinden uzak, yangın, su baskını, deprem, yıldırım ve hava kirliliğinden en az etkilenecek, giriş ve çıkışların kontrol edildiği bir bölgedir.
Bina, yüksek güvenlik gerektiren işlerin yapılmasına imkan sağlayan yapıdadır. Bina, esnek (çelik yapı) ve sert (çelik çatıyla desteklenmiş beton yapı veya desteklenmiş beton yapı) yapı şartlarını sağlamaktadır.
Kamu SM’nin kurulduğu yer ve binada güç birimleri, haberleşme birimleri, havalandırıcılar, yangın söndürücüler mevcut olup, deprem, su ve afetlere karşı gerekli tedbirler alınmıştır.
5.1.2. Fiziksel Erişim
Kamu SM yazılım ve donanım modülleri ile arşivlere erişim denetim altındadır.
Binaya girişler güvenlik görevlilerinin kontrolü altında, gelişmiş erişim kontrol cihazlarıyla sağlanmaktadır.
Bina içinde Kamu SM sistemine ait yazılım ve donanım araçlarının bulunduğu, elektronik veya kağıt ortamdaki bilgilerin tutulduğu, sistemin işletildiği ve yönetildiği odalara erişim gelişmiş erişim kontrol cihazlarıyla yapılmaktadır. Yetkisi olmayan kişiler sistemin kurulu olduğu odalara giriş yapamamaktadır. Yetkisiz kişilerin donanım bakımı veya bunun gibi sıra dışı bir amaçla sistemin kurulu olduğu odalara girişleri özel erişim talimatları uyarınca düzenlenir.
5.1.3. Güç Kaynağı ve Havalandırma
Aşağıdaki güç kaynakları Kamu SM işlevlerinin yerine getirilmesi ve sürekliliği için kullanılmaktadır:
• Güç alma ve devşirme (transformatör) birimleri
• Dağıtım paneli
• Trafo
• UPS
• Kuru akü
• Acil jeneratör
Bina gerekli havalandırma sistemi ile donatılmıştır.
